セキュリティチェックリスト

// ✅ 例: Supabase
const { data, error } = await supabase.auth.signUp({
  email: 'user@example.com',
  password: 'secure-password-123'  // Supabase が自動ハッシュ化
});

// ✅ 例: Hono
import { setCookie } from 'hono/cookie';

setCookie(c, 'auth_token', tokenValue, {
  httpOnly: true,    // JS で access 不可
  secure: true,      // HTTPS only
  sameSite: 'Strict',// CSRF 対策
  maxAge: 86400,     // 24時間
  domain: 'example.com',
  path: '/',
});

// Supabase で MFA 有効化
const { data, error } = await supabase.auth.mfa.enroll({
  factorType: 'totp'
});

// ユーザーが Google Authenticator でスキャン
// その後 TOTP コード確認

import { z } from 'zod';

const loginSchema = z.object({
  email: z.string().email(),
  password: z.string().min(8),
});

const result = loginSchema.safeParse(formData);
if (!result.success) {
  console.log(result.error);  // バリデーションエラー
}

// ❌ NG: SQL Injection 脆弱性
const query = `SELECT * FROM users WHERE id = ${userId}`;

// ✅ OK: Parameterized Query
const { data } = await supabase
  .from('users')
  .select('*')
  .eq('id', userId);  // パラメータ化される

// ✅ OK: Zod スキーマ
const userIdSchema = z.string().uuid();
const validId = userIdSchema.parse(userId);

// ❌ NG: dangerouslySetInnerHTML
<div dangerouslySetInnerHTML={{ __html: userInput }} />;

// ✅ OK: テキストとして表示
<div>{userInput}</div>;  // React が自動 escape

攻撃:
  1. 攻撃者が malicious 例: http://evil.com
  2. ユーザーが Bank サイト login 中
  3. ユーザーが evil.com 訪問
  4. evil.com が自動送信: POST /bank/transfer?amount=10000
  5. ユーザー Cookie で認証されるため実行される

// ✅ SameSite Cookie
setCookie(c, 'session', token, {
  sameSite: 'Strict',  // Cross-site request でCookie 送信しない
});

// ✅ CSRF Token (トラディショナル)
// 1. Server が unique token 生成
const csrfToken = crypto.randomUUID();
setCookie(c, 'csrf_token', csrfToken);

// 2. HTML form に含める
<form action="/api/transfer" method="POST">
  <input type="hidden" name="csrf_token" value={csrfToken} />
  <input type="text" name="amount" />
</form>

// 3. Server で検証
app.post('/api/transfer', (c) => {
  const token = c.req.header('x-csrf-token');
  const valid = token === c.req.query('csrf_token');
  
  if (!valid) return c.json({ error: 'CSRF' }, 403);
  
  // 処理続行
});

// Supabase RLS政策
CREATE POLICY "users can only read own data"
  ON users FOR SELECT
  USING (auth.uid() = id);

CREATE POLICY "only admins"
  ON admin_panel FOR ALL
  USING (
    (SELECT is_admin FROM users WHERE id = auth.uid()) = true
  );

// 例: 記事編集は作成者のみ
app.put('/articles/:id', async (c) => {
  const articleId = c.req.param('id');
  const userId = c.get('userId');
  
  const { data: article } = await supabase
    .from('articles')
    .select('user_id')
    .eq('id', articleId)
    .single();
  
  // 作成者確認
  if (article.user_id !== userId) {
    return c.json({ error: 'Forbidden' }, 403);
  }
  
  // 更新処理
});

// ❌ NG: 全てのオリジンを許可
app.use(cors({ origin: '*' }));

// 攻撃者が任意のサイトから API 呼び出し可能

// ✅ OK: 特定オリジンのみ
app.use(cors({
  origin: [
    'https://example.com',
    'https://admin.example.com',
  ],
  credentials: true,  // Cookie 送信許可
  methods: ['GET', 'POST', 'PUT', 'DELETE'],
  allowedHeaders: ['Content-Type', 'Authorization'],
}));

// ✅ 動的ホワイトリスト
app.use(cors({
  origin: (origin) => {
    const allowed = ['example.com', 'admin.example.com'];
    if (allowed.some(a => origin?.includes(a))) return true;
    return false;
  },
}));

// .env に保存 (gitignore 必須!)
DATABASE_URL=postgres://user:password@host/db
API_KEY=super-secret-key

// これを git 追跡してしまう → パブリック化

// 1. .env* は gitignore に必須
echo ".env .env.local .env.*.local" >> .gitignore

// 2. 環境変数分類
// NEXT_PUBLIC_* → Client に送信可能
NEXT_PUBLIC_API_URL=https://api.example.com

// 秘密鍵 → Server のみ
DATABASE_URL=postgres://...
SERVICE_ROLE_KEY=xxx

// 3. Vercel/Railway でシークレット管理
// ダッシュボード → Settings → Environment Variables

// ❌ NG: 詳細なエラー情報を expose
app.onError((err, c) => {
  return c.json({
    error: err.message,  // "Column 'password' is required"
    stack: err.stack,    // Stack trace 露出
  }, 500);
});

// ✅ User には汎用メッセージ
app.onError((err, c) => {
  console.error('Error:', err);  // Server ログに詳細記録
  
  return c.json({
    error: 'Internal Server Error',  // 汎用メッセージのみ
    code: 'ERR_INTERNAL'
  }, 500);
});

// DB エラーの場合
try {
  await supabase.from('users').insert(data);
} catch (err) {
  if (err.code === '23505') {  // Unique constraint violation
    return c.json({ error: 'Email already exists' }, 400);
  }
  
  // その他エラー（詳細情報隠蔽）
  console.error('DB Error:', err);
  return c.json({ error: 'Server error' }, 500);
}

// ❌ NG
console.log('User login:', { email, password, ip });

// ✅ OK
console.log('User login', { email: sanitize(email), ip });

// Vercel は自動 HTTPS
// Railway での強制
app.use(async (c, next) => {
  if (c.req.header('x-forwarded-proto') !== 'https') {
    const url = c.req.url.replace('http://', 'https://');
    return c.redirect(url, 301);
  }
  await next();
});

app.use(async (c, next) => {
  c.header('Strict-Transport-Security', 'max-age=31536000; includeSubDomains');
  c.header('X-Content-Type-Options', 'nosniff');
  c.header('X-Frame-Options', 'DENY');
  c.header('Content-Security-Policy', "default-src 'self'");
  
  await next();
});

import { RateLimiter } from 'hono/rate-limiter';

const limiter = new RateLimiter({
  windowMs: 60 * 1000,  // 1分
  max: 100,              // 最大100リクエスト
});

app.use(limiter);

// またはカスタム
const limits = new Map();

app.use(async (c, next) => {
  const ip = c.req.header('cf-connecting-ip') || 'unknown';
  
  if (limits.get(ip) > 100) {
    return c.json({ error: 'Too Many Requests' }, 429);
  }
  
  limits.set(ip, (limits.get(ip) || 0) + 1);
  await next();
});

// ✅ 例
const token = crypto.randomBytes(32).toString('hex');
const hashedToken = sha256(token);

await supabase.from('password_reset').insert({
  user_id,
  token_hash: hashedToken,
  expires_at: new Date(Date.now() + 3600000),
});

// メールに含める URL
const resetUrl = `https://example.com/reset/${token}`;  // ハッシュ前

// Supabase は自動暗号化
// 追加で sensitive カラム:
// → application-level encryption